Когда AI Agent получает право на выполнение в цепочке: кто будет проверять информацию, которую он видит, и выданные им команды?

I. Что показал инцидент с KelpDAO

18 апреля 2026 года кросс-цепочный мост rsETH KelpDAO был атакован, в результате чего было аномально выпущено 116 500 rsETH, стоимость которых на момент инцидента составила около 292 миллионов долларов. Отчет о происшествии от LayerZero показывает, что злоумышленник получил ключи сессии разработчиков через социальную инженерию, загрязнил внутренний RPC, на который полагалась LayerZero Labs DVN, и подавил внешний RPC с помощью атаки отказа в обслуживании, что привело к тому, что служба подписи выдала доказательства на основе неверных данных. В то время KelpDAO изменила путь проверки с 2 из 2 на 1 из 1 DVN. Если единственно назначенный DVN выдает неверное доказательство, система больше не требует второго независимого DVN для перекрестной проверки одного и того же сообщения. CrowdStrike и Mandiant с высокой степенью уверенности связали инцидент с TraderTraitor (UNC4899), связанным с Северной Кореей.

Такого рода инциденты не являются единичными. Многие серьезные инциденты безопасности в цепочке часто не связаны с тем, что криптографические предположения были опровергнуты, а скорее с контролем ключей, источниками данных, конфигурацией валидаторов, реализацией протоколов и правами на эксплуатацию. Система должна не только отвечать на вопрос «является ли эта подпись действительной», но и на вопрос «кто имеет право подписывать, на основе какой информации подписывать и действительно ли произошло состояние, соответствующее подписи».

Все больше AI Agent получают возможность выполнения в цепочке через умные аккаунты, стратегические кошельки или ограниченные службы подписи. Одна действительная подпись может лишь подтвердить, что был вызван определенный авторизованный путь, но не может доказать, что данные, на основе которых действовал агент, надежны, что решения соответствуют установленной стратегии или что эта транзакция должна была произойти именно в этот момент. Объект проверки расширяется с «подлинности подписи» на «соответствие ввода, решения и выполнения».

II. Что решают существующие решения и что они оставляют

Существующие решения решают часть проблем доверия, но оставляют оставшуюся часть доверия на разных ролях:

Оракулы и арбитраж споров: Результаты рынка Polymarket сначала выдвигаются участниками, и только в случае оспаривания в течение периода оспаривания они попадают на голосование держателей токенов UMA. Проблема не в том, что «нет проверки», а в том, насколько надежна проверка — когда правила неясны, реальные события имеют множество интерпретаций или голосующие права сосредоточены в руках немногих адресов, система фактически передает вопрос «кто определяет факты» другой структуре управления.

Многофакторная подпись кросс-цепочного моста и DVN: Оба метода реализации различаются, но требуют от приложения четкой конфигурации набора валидаторов и порога. После того как KelpDAO настроила путь на 1 из 1 DVN, весь путь проверки стал зависеть от единственной службы проверки; однако источники данных и механизмы реагирования на сбои, на которые полагается эта служба, могут создать следующую точку отказа.

MPC-хостинг: Преимущество пороговой подписи заключается в том, что ключи не хранятся в одном месте, но криптографическое разбиение не приводит автоматически к децентрализации власти на уровне организации. Как сообщила команда Multichain, после задержания основателя китайской полицией команда сразу же потеряла доступ к соответствующим серверам узлов MPC, которые работали на личном облачном аккаунте основателя. Когда облачный аккаунт, права на эксплуатацию и механизмы экстренного реагирования сосредоточены в руках одного человека, пороговый дизайн MPC все еще может оставить точку отказа на уровне организации.

TEE: Доверенная среда выполнения может изолировать код и чувствительные данные, но она не устраняет доверие, а лишь изменяет его точки опоры. Аппаратные корни доверия и обновления микрокода обычно зависят от производителей чипов, код enclave, права на обновление и стратегии сертификации могут контролироваться проектом или оператором. TEE может защитить вычислительный процесс, но не может автоматически децентрализовать эти права управления.

Эти модели отказа решений различны, но указывают на одну и ту же проблему: пороги и децентрализация, записанные в белых книгах, могут стать реальной границей безопасности только тогда, когда они действительно реализованы в источниках данных, правах аккаунтов, ключах обновления и процессах управления.

III. CRVA: переосмысление распределения прав проверки

DeepSafe был переименован из Bool Network в 2025 году. CRVA продолжает техническую концепцию, предложенную исследователями Bool Network в 2022 году. Соответствующая статья была опубликована в IEEE Transactions on Information Forensics and Security (IEEE TIFS, Document ID 9903072) и предложила платформу кросс-цепочного нотариата на основе «эволюционирующего скрытого комитета» (evolving hidden committee).

Конкретный подход заключается в том, что узлы участвуют в случайном отборе через Ring-VRF, выбранные участники подают доказательства и временные публичные ключи, внешние наблюдатели могут проверить их квалификацию, но трудно идентифицировать их долгосрочную личность. Временный комитет, выбранный в результате, совместно подписывает с помощью порогового MPC, и ни один отдельный узел не может независимо выдать результат. Ключевое управление и другие важные процессы работают в TEE (например, Intel SGX), чтобы снизить вероятность того, что оператор хоста сможет прочитать или изменить доли ключей. Комитет также будет меняться по эпохам, новое поколение получит новые доли через проверяемую передачу ключей, старые доли станут недействительными, а конкретный цикл ротации будет определяться реальными параметрами сети.

Проект также надеется скрыть рабочее состояние комитета TEE, чтобы операторы узлов не могли определить, участвовал ли их узел в какой-либо проверке. В какой степени эта цель может быть достигнута, зависит от кода текущей сети, удаленной сертификации, метаданных на стороне хоста и защиты от побочных каналов, а не от того, что «использование TEE» автоматически приводит к заключению.

Но эти механизмы решают вопрос «кто проверяет, как безопасно совместно выдавать результаты», но не определяют автоматически, «какой результат является правильным». В контексте AI Agent комитет все равно должен делать выводы на основе заранее установленных стратегий, источников данных и исполняемых правил суждения — если эти правила сами по себе проблематичны, источники данных ненадежны или объект проверки не имеет объективно определяемого ответа, даже самый безопасный комитет может совместно подтвердить неверное заключение.

CRVA пытается снизить риски, связанные с длительным раскрытием фиксированных валидаторов и концентрацией прав подписи, но не может полностью устранить точку отказа на уровне управления и реализации. Доступ узлов, обновление протоколов, сертификация TEE и безопасность программного обеспечения все еще требуют постоянного аудита. При условии, что старые доли надежно утрачены, а новый комитет остается достаточно независимым, ротация может сократить окно атаки на фиксированную группу подписей, но не может покрыть системные риски, такие как цепочка поставок программного обеспечения или права на обновление.

IV. Техническая основа и прогресс внедрения

Техническая линия CRVA восходит к статье, опубликованной в IEEE TIFS, том 17 (2022), DOI 10.1109/TIFS.2022.3209546. Модель протокола, доказательства безопасности и оценка прототипа в статье прошли рецензирование, предоставив академическую основу для динамически скрытых комитетов, Ring-VRF, порогового управления ключами и защиты TEE. Важно различать, что рецензирование касалось модели и реализации в статье; как текущий развернутый CRVA соответствует предложению статьи, все еще требует оценки в соответствии с актуальными техническими спецификациями, аудитом кода и параметрами сети.

По данным DeepSafe, в октябре 2025 года сеть уже обработала почти 120 миллионов проверок, активных аккаунтов более 2,65 миллиона. Проект также сообщил, что его экосистема включает более 70 отношений, охватывающих совместимость кошельков, техническую интеграцию, инвестиции и рыночное сотрудничество.

В октябре 2025 года DeepSafe объявил о завершении раунда посевного финансирования в размере 3 миллионов долларов, в который вошли такие инвесторы, как Antalpha Global, ViaBTC Capital и Gate. Судя по временной шкале, этот раунд финансирования в основном соответствует техническим разработкам и расширению экосистемы после ребрендинга.

V. От решений по проверке к универсальной инфраструктуре

С увеличением модульности инфраструктуры блокчейна, консенсус, выполнение, доступность данных, взаимодействие и учетные системы начинают выполняться различными компонентами. Модульность не устранила проблему доверия, а сделала границы безопасности на каждом уровне более четкими — разработчики должны не только выбирать, какую технологию использовать, но и определять, кто предоставляет безопасность на этом уровне и кто несет ответственность в случае проблем. После того как AI Agent получил возможность выполнения в цепочке, возникают новые вопросы: кто подтвердит, что данные, которые он считывает, надежны, что решения не превышают полномочия, и что окончательная транзакция соответствует разрешению пользователя? Эти вопросы не будут автоматически решены одной действительной подписью.

DeepSafe надеется абстрагировать возможности проверки из вспомогательного модуля внутри одного приложения в инфраструктуру, доступную для различных протоколов и AI Agent — «Доказательства, а не обещания», заменяя обещания исполнителя проверяемыми доказательствами. CRVA уже объединила анонимный отбор, пороговое сотрудничество и TEE в единую технологическую дорожную карту; сможет ли она дополнительно охватить различные сценарии, такие как оракулы, кросс-цепочки и AI Agent, и развиться в универсальную инфраструктуру проверки, будет зависеть от текущих возможностей сети, независимого аудита и постоянного накопления реальной интеграции.

Эта статья является результатом подачи и не отражает мнения BlockBeats.